Le 9 septembre dernier se tenait le début des audiences dans l’affaire Microsoft Corporation v United States of America, devant trois juges de la cour d’appel de New York.

Cette affaire a vu le jour en décembre 2013, suite à l’octroi d’un mandat ordonnant à Microsoft de fournir les courriels d’un de ses utilisateurs dans le cadre d’une affaire de trafic de stupéfiants. Or, si Microsoft a obtempéré pour les données stockées sur les serveurs américains, une vaste majorité des données demandées étaient stockées sur un serveur situé à Dublin en Irlande et refusa alors de fournir les courriels, arguant qu’un juge américain « had no authority to issue a search warrant for records stored abroad ». Le refus de Microsoft s’appuyait entre autres sur la règle 41 du Federal Rules of Criminal Procedure, voulant qu’aucune cour fédérale n’ait l’autorité d’autoriser un mandat pour une propriété se situant à l’extérieur des limites juridiques du territoire des États-Unis.

À la suite du refus de Microsoft, un juge fédéral lui ordonna de nouveau, en juillet 2014, de fournir les courriels soutenant que le gouvernement américain pouvait formuler une telle demande et affirmant que

Microsoft should hand them over regardless of where they are stored because it has « control » over them.

APPLICATION DU MANDAT À L’ÉGARD DES DONNÉES STOCKÉES EN IRLANDE

En 1979, la Cour suprême des États-Unis a reconnu dans l’affaire Smith v Maryland que le 4^e amendement n’offrait aucune protection à l’égard d’informations qu’un citoyen avait délibérément remises à un tiers. Dans cette perspective, le gouvernement américain a adopté The 1986 Stored Communications Act (SCA) (18 U.S.C. §§ 2701–2712 (2012)) permettant d’encadrer les questions relatives à la protection de données privées. En l’espèce, il importe de s’intéresser à la teneur de l’art 2703(a) qui prévoit que :

• (a) A governmental entity may require the disclosure by a provider of electronic communication service of the contents of a wire or electronic communication […] only pursuant to a warrant issued using the procedures described in the Federal Rules of Criminal Procedure (or, in the case of a State court, issued using State warrant procedures) by a court of competent jurisdiction.

C’est dans la décision In re Warrant to Search a Certain Email Account Controlled & Maintained by Microsoft Corp 15 F. Supp. 3d 466 (S.D.N.Y. 2014), que le juge explique comment l’obtention d’un mandat, en vertu de l’art 2703 SCA, est possible:

 In order to obtain an SCA Warrant, the Government must “us[e] the procedures described in the Federal Rules of Criminal Procedure” and demonstrate probable cause.

Il conclut également que le gouvernement américain a bien accompli cette démonstration et que le mandat avait lieu d’être émis. Or, ce que soutient Microsoft est qu’une Cour américaine n’avait pas la compétence nécessaire pour émettre un mandat qui implique une portée extraterritoriale.

Microsoft fit appel de la décision et ce sont les audiences relatives à cet appel qui ont débuté le 9 septembre dernier. Une des questions au cœur de cette affaire est de déterminer si la Cour possédait la compétence nécessaire eu égard à des données détenues par une entreprise américaine, même si ces données ne sont pas situées sur le territoire américain.

UNE QUESTION DE SOUVERAINETÉ

Pour l’avocat du géant américain, cette affaire en est une de souveraineté. « Qu’en serait-il si la Chine ou la Russie faisait de même avec des données hébergées en Europe ou aux États-Unis sans demander l’accord des autorités compétentes ? » Andrew Woods apporte un éclairage intéressant. S’il n’est pas question d’envoyer des agents d’État officiels en Irlande pour récupérer les données, il s’agit plutôt de demander à une entreprise américaine d’obtempérer et de fournir des données qu’elle possède et contrôle, peu importe leur lieu de stockage.

Dans cette perspective, le gouvernement américain reconnaît, à l’instar de Microsoft, que le SCA ne permet pas une application extraterritoriale de la loi. Il serait plutôt question d’accès (disclosure) et, à cet effet, Microsoft est en mesure d’accéder aux courriels stockés à l’étranger depuis les États-Unis.

Orin Kerr, dans une discussion fort intéressante, s’interroge sur l’application de la SCA en la matière et souligne que la source juridique, obligeant Microsoft à fournir les données, ne serait pas la SCA, mais plutôt le mandat. Il souligne que pour être émis, le mandat doit décrire le « lieu » de la fouille et que ce « lieu » est en l’espèce le compte courriel MSN. C’est ce dernier qui est la propriété à saisir. La question de territorialité s’applique alors, dès que l’on considère que c’est la récupération (retrieval) des données qui doit être exécutée par Microsoft, et ce, depuis les États-Unis.

À cet égard, Dara Murphy, ministre d’État irlandais de la Protection des données, s’est dit préoccupé par cette affaire. Il souligne que l’Irlande et les États-Unis ont établi un traité réciproque d’assistance en matière criminelle et que le processus permet le transfert de données. Or, s’il souligne l’importance de cette collaboration, c’est plutôt le processus employé par le gouvernement américain qui dérange.

Cooperation in the area of law enforcement is a fundamental element of our international relations, in particular with our partners in the US, which is why the issue of the transfer of the data itself is not objectionable, but rather the process that is being utilised.

En attendant que la décision de la Cour d’appel soit rendue, d’ici quelques semaines, soulignons qu’elle n’est pas étrangère aux problématiques inhérentes liées au développement du cloud et particulièrement de son encadrement juridique. En effet, l’émergence du cloud signifie que de plus en plus de données seront stockées dans différents serveurs dans des contextes transnationaux variés. Si depuis l’affaire Snowden, un grand nombre d’Européens craignent une augmentation accrue de la surveillance américaine sur des données situées à l’étranger, l’affaire Microsoft représente une boîte de pandore des tensions internationales liées aux communications électroniques. Quelles pourraient alors être les conséquences sur les relations internationales et la coopération interétatique ? Est-ce qu’une décision en faveur du gouvernement américain irait à l’encontre de l’autonomie nationale ? Et si la décision allait en faveur de Microsoft, est-ce que cela permettrait de préserver la confiance du public envers les entreprises américaine ? À suivre…